资讯 新鲜
此为临时链接,仅用于文章预览,将在时失效

Pokémon Go问题不断,被爆“强夺”谷歌帐号完整权限

作者:恒亮
2016/07/12 09:31

任天堂和Niantic Labs联合开发的手游Pokémon Go(口袋妖怪Go)有多火爆相信已经不用再过多介绍了,从7月4号发布以来,仅仅8天时间,其用户活跃度已逼近Twitter,用户使用时间甚至达到Snapchat的两倍之多。但与此同时其负面消息也接踵而来,继昨天假冒Pokémon Go安装包引发黑客攻击的消息之后,今天又爆出Pokémon Go“强夺”谷歌帐号完整权限的新闻。

由于目前Pokémon Go只提供两种登陆方式:谷歌账户或Pokémon训练师俱乐部(pokemon.com)帐号。一方面是在欧美几乎人人都有谷歌账户,另一方面之前pokemon.com由于技术故障而无法接受新用户注册,因此目前大部分玩家其实都在使用谷歌账户来玩Pokémon Go。

然而据美国玩家反映,Pokémon Go直接获取了谷歌账户最高等级的“完整权限”(full access),而这一待遇通常只有Chrome等谷歌旗下产品才能获得。

Pokémon Go问题不断,被爆“强夺”谷歌帐号完整权限

谷歌的账户帮助页面有如下一段描述:

当您向应用授予完整帐户权限后, 该应用几乎可以查看和修改您 Google 帐户中的所有信息 (但不能更改密码、删除帐户,或以您的名义使用 Google 电子钱包付款)。

某些 Google 应用可能具有完整帐户权限。例如,您可能会看到,您下载到 iPhone 的“Google 地图”应用具有完整帐户权限。

请仅将“完整帐户权限”授予您 完全信任 且已安装到您的个人计算机、手机或平板电脑上的应用。

更具体一点说,具备了完整权限的应用可以随时查看你的Gmail邮件,可以以你的身份发送邮件,可以获取/删除你存储在Google Drive云盘里的任何文件,可以查看Google Photos里备份的所有隐私照片等等。如果获取此权限的第三方应用安全性不高,或将引发非常严重的隐私泄露事件。

另外,即使Pokémon Go的服务器足够安全,第三方应用也应该遵循最小权限原则。况且就目前Pokémon Go的游戏功能看,也完全不需要谷歌的完整账户权限。

除了强制”完整权限“之外,还有更严重的情况。有用户尝试取消谷歌账户和Pokémon Go的关联,然后退出游戏,重新用谷歌帐号登录,在输入了用户名和密码之后,竟然没有跳出谷歌需要用户重新授权的确认界面,而是直接进入了游戏。如果上面的”完整权限“还将就可以理解的话,那这个连权限确认都不需要的登录行为该怎么解释呢?

Pokémon Go问题不断,被爆“强夺”谷歌帐号完整权限

关于这一点,有国外大牛猜测:Pokémon Go的谷歌账户登录界面应该是谷歌官方的链接,这一点没有问题,至于为什么没有弹出用户权限确认界面,很可能是Pokémon Go服务器做了浏览器自动化操作,自动帮用户点击了确认按钮——这可是严重的网络安全事故(谷歌的权限确认界面如上图所示,Pokémon Go将自动跳过这一步骤)。

关于上述这些严重的安全隐患,任天堂和Niantic Labs目前还没有公开回应。

如此火爆的同时,Pokémon Go的安全问题也着实令人担忧。我们希望开发商能早日解决这些问题,并尽快登录中国,让国内玩家们也能够正常享受小精灵带来的快乐。

长按图片保存图片,分享给好友或朋友圈

Pokémon Go问题不断,被爆“强夺”谷歌帐号完整权限

扫码查看文章

正在生成分享图...

取消
相关文章